Votre candidature dort depuis trois ans dans la CVthèque d’un recruteur qui ne vous a jamais recontacté. Votre ancien opérateur conserve vos factures, vos relevés d’appels et votre adresse cinq ans après la résiliation. Les caméras de votre ancien employeur rejouent des images vieilles de six mois pour justifier une sanction. À chaque fois, la même question se pose : combien de temps un organisme a-t-il le droit de garder des données sur vous, et à partir de quel moment pouvez-vous exiger qu’il les détruise ? La réponse tient en une règle simple, des durées précises selon chaque situation, et une procédure d’effacement que le juge et la CNIL appliquent avec des astreintes qui se comptent en centaines d’euros par jour. Ce guide de référence fait le tour de la question : la règle de limitation de la conservation, les durées concrètes pour le recrutement, les clients, les prospects, la vidéosurveillance et les salariés, puis la méthode pour obtenir l’effacement, saisir la CNIL et obtenir réparation quand l’organisme garde vos données trop longtemps.

I. Combien de temps un organisme peut garder des données sur vous

A. La règle : aucune conservation illimitée, trois phases de vie des données

Le règlement général sur la protection des données pose une interdiction de principe : les données ne peuvent rester identifiantes que pendant la durée nécessaire à chaque finalité, comme le rappellent les principes du traitement présentés par la CNIL. Chaque traitement a une finalité — recruter, facturer, sécuriser des locaux, prospecter — et la conservation ne peut pas dépasser ce que cette finalité exige. Dès que les données ne sont plus nécessaires, elles doivent être effacées ou anonymisées. La charge de fixer une durée, de la justifier et de purger les données à son terme pèse sur l’organisme, pas sur la personne concernée.

La CNIL décrit ce cycle en trois phases sur sa fiche consacrée aux durées de conservation. La première phase, la conservation en base active, correspond à la durée nécessaire à la réalisation de l’objectif ayant justifié la collecte, selon la fiche de la CNIL sur les durées de conservation : les données restent facilement accessibles aux services opérationnels, par exemple le service des ressources humaines pour un recrutement en cours. Vient ensuite l’archivage intermédiaire : les données ne servent plus à l’objectif initial mais présentent encore un intérêt administratif, comme la gestion d’un contentieux éventuel, ou doivent être gardées pour respecter une obligation légale. Elles ne sont alors consultées que ponctuellement, par des personnes spécifiquement habilitées, et séparées de la base active. La troisième phase, l’archivage définitif, ne concerne que certaines informations présentant un intérêt historique ou patrimonial durable. Les deux dernières phases ne sont jamais automatiques : leur nécessité doit être évaluée traitement par traitement.

Cette distinction explique un malentendu fréquent : la fermeture de votre compte, la fin de votre contrat ou votre départ de l’entreprise ne fait pas tout disparaître, mais ne permet pas non plus de tout garder. La CNIL l’illustre avec la facturation : les données de facturation se conservent dix ans en application du code de commerce, même après la fin de la relation client, comme l’illustre la fiche de la CNIL. Le commerçant garde donc vos factures dix ans parce que la loi l’y oblige — le traitement reste alors nécessaire au respect d’une obligation légale pesant sur le responsable, selon les règles de licéité présentées par la CNIL — mais il ne peut pas pour autant continuer à vous prospecter ni conserver votre dossier client actif. Chaque donnée suit sa propre durée selon sa propre finalité, et les durées mentionnées par la CNIL sont soit obligatoires, car imposées par un texte, soit recommandées par sa doctrine : les premières s’imposent à tous, les secondes servent de référence en cas de contrôle. Si vous contestez une conservation, commencez par identifier la finalité invoquée par l’organisme, puis vérifiez la durée applicable à votre situation. Et si l’organisme ne vous a jamais répondu sur l’accès à vos données, la méthode de la demande d’accès restée sans réponse et de la copie sous un mois s’applique avant toute demande d’effacement.

Pour l’organisme, ces durées ne sont pas de simples recommandations internes. La CNIL précise que les durées figurant dans ses référentiels sont soit imposées par un texte, soit recommandées par la doctrine de la CNIL, comme le précise sa fiche sur les durées de conservation. Les premières — un mois pour les images de vidéosurveillance, cinq ans pour le registre du personnel, dix ans pour les documents comptables — s’imposent à tous, et leur violation constitue un manquement autonome, même sans aucune plainte individuelle. Les secondes — deux ans pour les candidats non retenus, trois ans pour les clients et les prospects — servent d’étalon au contrôle : s’en écarter durablement sans justification expose l’organisme à la mise en demeure puis à la sanction. Et l’organisme doit écrire tout cela noir sur blanc. Le règlement impose en effet à chaque responsable de tenir un registre de ses activités de traitement, qui mentionne dans la mesure du possible les délais d’effacement par catégorie de données, selon la présentation du registre par la CNIL. En cas de contrôle, l’absence de durées documentées ou de purges effectives est relevée avant même l’examen des plaintes individuelles : une entreprise sans registre ni politique de conservation démarre son contrôle avec un manquement déjà constitué, et la régularisation passe par l’inventaire des traitements, la fixation d’une durée par finalité et la programmation des suppressions.

B. Les durées concrètes : recrutement, clients, prospects, vidéosurveillance, salariés

En matière de recrutement, la loi limite d’abord ce que l’employeur peut collecter : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles ». Un dossier de candidature ne peut donc pas servir de vivier permanent. La CNIL fixe la durée de référence : les données d’un candidat non retenu se conservent deux ans maximum selon la fiche de la CNIL, sauf demande d’effacement anticipée. Concrètement, si vous avez postulé en 2024 sans être embauché et que le recruteur utilise encore votre CV en 2026 sans votre accord, la conservation est excessive et vous pouvez exiger l’effacement. Le recruteur qui transmettrait en plus votre CV à d’autres employeurs sans votre accord commettrait un manquement distinct, déjà sanctionné par la jurisprudence de la CNIL.

Pour les clients et les prospects, le référentiel de la CNIL relatif à la gestion des activités commerciales donne des durées chiffrées. les données clients utilisées à des fins de prospection se conservent pendant la relation commerciale puis trois ans après sa fin, selon le référentiel de la CNIL sur les activités commerciales, par exemple à compter d’un achat, de l’expiration d’une garantie, du terme d’un contrat de prestations ou du dernier contact émanant du client. celles d’un prospect non client se conservent trois ans après leur collecte ou le dernier contact du prospect, selon le même référentiel de la CNIL, comme une demande de documentation ou un clic sur un lien contenu dans un courriel. En revanche, la simple ouverture d’un courriel ne vaut pas contact émanant du prospect (référentiel CNIL) : l’organisme ne peut pas prolonger artificiellement le délai de trois ans en comptant vos ouvertures de messages. Au terme du délai, il doit effacer les données ou obtenir un nouveau contact réel de votre part. Si un compte clôturé continue d’alimenter de la prospection, les recours décrits pour le compte client conservé après clôture et la prospection qui continue s’appliquent point par point.

La prospection par courriel, SMS ou automate d’appel obéit à une condition préalable supplémentaire. Le code des postes et des communications électroniques dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». Sans ce consentement préalable, l’envoi est illicite dès le premier message, et la question de la durée de conservation ne se pose même pas : les coordonnées collectées sans consentement doivent être supprimées, pas conservées trois ans. Quand la prospection est en revanche régulière, l’organisme doit vous informer de votre droit d’opposition dès le premier contact, puisque ce droit doit être porté à votre attention au plus tard lors de la première communication, clairement et séparément de toute autre information, comme le prévoit la présentation du droit d’opposition par la CNIL. Un lien de désinscription noyé dans des conditions générales ou un droit d’opposition jamais mentionné constitue déjà un manquement, avant même tout débat sur les trois ans.

La vidéosurveillance au travail obéit à la durée la plus courte : un mois. Le code de la sécurité intérieure dispose : « Hormis le cas d’une enquête de flagrant délit, d’une enquête préliminaire ou d’une information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l’autorisation. Ce délai ne peut excéder un mois ». La Cour de cassation vient de le rappeler avec force dans un arrêt du 17 septembre 2025 rendu à propos d’un agent de sécurité licencié sur la foi d’images de vidéoprotection : la chambre sociale juge : « Le visionnage des images qui en sont extraites ne peut être assuré que par des agents de l’autorité publique individuellement désignés et habilités des services de police et de gendarmerie nationale et les enregistrements doivent être détruits dans le délai maximum d’un mois, sauf en cas d’enquête pénale ». Dans cette affaire, l’employeur justifiait la conservation prolongée par les vérifications à effectuer après la plainte d’une cliente, sans qu’aucune enquête pénale ne soit établie : la cour d’appel qui avait validé le licenciement a vu son arrêt cassé et l’affaire renvoyée devant la cour d’appel de Nîmes. La leçon est directe : des images conservées plus d’un mois sans enquête pénale en cours constituent une conservation excessive, et une sanction prononcée sur leur fondement est fragilisée. Le même raisonnement vaut pour les caméras braquées sur un poste de travail, dont la contestation suit le régime applicable aux salariés filmés à leur poste.

Pour les salariés, deux durées légales encadrent la fin du contrat. D’abord, « Les mentions portées sur le registre unique du personnel sont conservées pendant cinq ans à compter de la date à laquelle le salarié ou le stagiaire a quitté l’établissement » : l’ancien employeur garde donc une trace administrative de votre passage pendant cinq ans, mais ce registre ne l’autorise pas à conserver votre dossier complet ni à renseigner des recruteurs au-delà de ce qui est nécessaire. Ensuite, les documents comptables et les pièces justificatives, bulletins de paie compris, sont conservés dix ans : « Les documents comptables et les pièces justificatives sont conservés pendant dix ans ». En revanche, les outils de surveillance — écoutes d’appels, enregistrements, relevés de géolocalisation, journaux de connexion — ne bénéficient d’aucune durée longue : ils doivent disparaître une fois leur finalité épuisée, et toute restriction aux droits des salariés doit rester justifiée et proportionnée : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

Le départ d’un collaborateur illustre la même logique pour la messagerie professionnelle. Tant que le contrat est en cours, la boîte aux lettres sert à l’activité ; après le départ, son maintien actif avec son contenu devient une conservation sans finalité. Dans l’affaire jugée à Montpellier en mars 2025, les comptes de messagerie de trois personnes restaient actifs et exploitables par la société après leur départ, et la cour a ordonné leur désactivation et leur suppression sous huit jours et sous astreinte. La solution vaut pour tout compte, accès ou boîte partagée maintenus après la fin de la relation de travail : l’ancien employeur doit couper les accès, archiver ce que la loi lui impose de garder sous une forme séparée et détruire le reste, au lieu de laisser des boîtes actives consultables par les équipes.https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006900785).

II. Comment faire effacer vos données et sanctionner la conservation excessive

A. Exiger l’effacement : la demande qui fait courir le délai d’un mois

Le droit à l’effacement permet à chacun d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, comme le présente la page de la CNIL sur le droit à l’effacement. Ce droit joue notamment quand les données ne sont plus nécessaires à leur finalité, premier cas visé par la CNIL, ce qui recouvre exactement la conservation excessive : CV gardé après deux ans, compte client actif après trois ans sans contact, images vidéo conservées après un mois, dossier salarié exploité après le départ. Il joue aussi quand vous retirez votre consentement sans autre fondement juridique, quand le traitement était illicite dès l’origine, ou quand l’effacement est nécessaire pour respecter une obligation légale. La demande s’adresse au responsable du traitement, idéalement par écrit avec accusé de réception, en identifiant précisément les données visées et le motif : finalité épuisée, délai dépassé, consentement retiré, opposition à la prospection.

Dès réception, un délai impératif court contre l’organisme : il doit vous informer des mesures prises dans les meilleurs délais et au plus tard sous un mois, selon les modalités d’exercice des droits présentées par la CNIL, délai prolongeable de deux mois seulement en cas de complexité ou de nombre élevé de demandes, à condition de vous prévenir dans le premier mois. S’il refuse de donner suite, il doit vous le dire sans tarder dans le même délai d’un mois, motiver son inaction et vous rappeler que vous pouvez réclamer auprès de la CNIL et saisir le juge. Conservez donc la preuve de votre envoi et de sa date : c’est elle qui fera foi du point de départ du délai d’un mois, et le silence de l’organisme pendant ce délai constitue déjà un premier manquement exploitable devant la CNIL.

L’organisme ne peut pas refuser l’effacement par des arguments généraux. Le règlement liste limitativement les exceptions : liberté d’expression et d’information, obligation légale de conservation, santé publique, archives d’intérêt public ou recherche, et la nécessité de constater, d’exercer ou de défendre des droits en justice, dernière exception listée par la CNIL. Cette dernière exception est la plus invoquée — et la plus contrôlée. La cour d’appel de Montpellier l’a illustré le 20 mars 2025 dans un litige opposant trois personnes à la société ECP : celle-ci refusait de supprimer des comptes de messagerie professionnelle en invoquant sa situation économique et son besoin de conserver les données pour se défendre devant les prud’hommes. La cour a écarté ces motifs et a ordonné de « rendre inactifs et supprimer les comptes de messagerie professionnelle » « dans un délai de huit jours à compter de la signification du présent arrêt », « sous astreinte provisoire de 500 euros par jour de retard passé ce délai ». Une conservation pour un litige seulement éventuel ou pour des difficultés économiques ne suffit donc pas : l’organisme doit démontrer que les données précises sont nécessaires à une action en justice déterminée.

En matière de prospection, le droit est encore plus net. Le règlement donne à chacun le droit de s’opposer à tout moment à l’usage de ses données à des fins de prospection, comme le rappelle la CNIL, et passé cette opposition, les données ne doivent plus être traitées à ces fins. Aucun motif légitime de l’organisme ne peut y faire échec : l’opposition à la prospection est absolue, y compris pour le profilage lié à cette prospection. Pour les autres traitements fondés sur l’intérêt légitime ou une mission publique, vous pouvez vous opposer pour des raisons tenant à votre situation particulière, et l’organisme ne peut continuer qu’en démontrant des motifs légitimes et impérieux qui prévalent sur vos droits, selon la CNIL, sur vos droits, ou pour défendre des droits en justice. Autrement dit : contre la publicité, votre seul refus suffit ; contre les autres conservations, c’est à l’organisme de prouver qu’il a une raison impérieuse de garder vos données.

B. Saisir la CNIL et le juge : sanctions, injonctions sous astreinte et réparation

Si l’organisme ne répond pas dans le délai d’un mois ou refuse l’effacement sans motif valable, la plainte devant la CNIL est l’étape suivante. Déposez-la en ligne en joignant votre demande initiale, la preuve de sa réception et la réponse éventuelle : la CNIL rappelle d’abord l’organisme à ses obligations, puis peut le mettre en demeure, et enfin sanctionner. La procédure simplifiée permet à un membre de la formation restreinte de prononcer seul une amende et une injonction quand les faits sont clairs. Le Conseil d’État vient de valider ce mécanisme le 28 novembre 2025 dans une affaire où un particulier avait demandé à une société de prospection d’effacer ses données pour limiter les sollicitations, sans obtenir de réponse malgré deux réclamations : après rappel et mise en demeure restés sans effet, la CNIL avait « infligé à la société Timework-it une amende administrative de 15 000 euros et lui a enjoint, sous astreinte, de répondre à la demande d’effacement », avec une injonction de répondre « dans un délai d’un mois et sous astreinte de 50 euros par jour de retard ». La société expliquait que les messages étaient arrivés sur une adresse générique et avaient été classés en indésirables par mauvais paramétrage : le Conseil d’État a retenu qu’elle « a fait preuve, pour le moins, d’une négligence prolongée » et a rejeté son recours — « La requête de la société Timework-it est rejetée » — en jugeant l’amende proportionnée au regard de la gravité, de la persistance des manquements et de l’absence de coopération. Une boîte générique mal surveillée et un filtre anti-spam mal réglé n’excusent donc rien : l’organisme répond de son organisation interne. La méthode complète de la réclamation CNIL efficace et de la saisine du juge quand l’organisme ignore la demande s’applique à chaque étape de ce parcours.

Le juge peut être saisi en parallèle, sans attendre l’issue de la plainte CNIL. En référé devant le tribunal judiciaire, vous pouvez demander l’effacement sous astreinte, comme l’a fait la cour d’appel de Montpellier avec ses 500 euros par jour de retard. Devant les prud’hommes, quand la conservation excessive concerne un salarié ou un ancien salarié — dossier conservé après le départ, images ou enregistrements exploités pour sanctionner — deux armes s’ajoutent. D’abord, l’employeur devait vous informer préalablement du traitement et consulter le comité d’entreprise ou le comité social et économique avant de déployer un dispositif de contrôle de votre activité : à défaut, la preuve tirée des enregistrements est illicite. Ensuite, même illicite, cette preuve n’est pas automatiquement écartée : la Cour de cassation juge : « L’illicéité d’un moyen de preuve, au regard des dispositions susvisées, n’entraîne pas nécessairement son rejet des débats », le juge devant mettre en balance votre droit au respect de votre vie personnelle et le droit à la preuve de l’employeur, lequel ne justifie l’atteinte que si la production est indispensable et strictement proportionnée au but poursuivi. Dans l’arrêt du 10 novembre 2021, la Cour a cassé en toutes ses dispositions un arrêt qui validait un licenciement fondé sur des vidéos conservées bien au-delà des délais déclarés, parce que les salariées n’avaient pas été informées de l’utilisation du dispositif pour les contrôler. Concrètement, des images conservées plus d’un mois et exploitées un an plus tard cumulent deux vices : la conservation excessive et, souvent, le défaut d’information.

Enfin, la conservation excessive ouvre droit à réparation. Le règlement ouvre à toute victime d’une violation le droit d’obtenir réparation de son préjudice matériel ou moral, comme le rappelle la page de la CNIL sur le droit à réparation. Le préjudice moral — perte de maîtrise de vos données, prospection subie pendant des mois, anxiété liée à des images conservées — est indemnisable sans perte financière démontrée, et le préjudice matériel — crédit refusé à cause de données obsolètes, opportunité manquée — se chiffre pièces à l’appui. Pour Paris et l’Île-de-France, le parcours est le même qu’ailleurs, avec deux repères pratiques : la CNIL, dont le siège est à Paris, reçoit les plaintes en ligne quelle que soit votre commune, et les juridictions franciliennes — tribunal judiciaire de Paris en référé, conseils de prud’hommes de Paris et de la petite couronne pour les litiges salariés — appliquent ces mêmes règles avec des délais d’audiencement souvent plus courts qu’en province. Gardez dans tous les cas vos preuves : copie de la demande d’effacement et de son accusé de réception, captures des données encore en ligne, échanges avec l’organisme, et tout constat d’huissier ou commissaire de justice pour les contenus qui pourraient disparaître.

Du côté des sanctions, le Conseil d’État rappelle que les amendes doivent être « effectives, proportionnées et dissuasives », en tenant compte notamment de la nature, de la gravité et de la durée de la violation, de son caractère délibéré ou négligent, des mesures prises pour atténuer le dommage et du degré de coopération avec la CNIL. La négligence prolongée — boîte générique non surveillée, courriers de la CNIL ignorés, effacement réalisé seulement après la sanction — aggrave au lieu d’excuser, et régulariser après coup n’efface ni l’amende ni l’injonction : l’injonction reste justifiée même quand l’organisme s’exécute tardivement, et l’amende sanctionne la période pendant laquelle la personne est restée sans réponse. Pour l’organisme contrôlé, la seule stratégie qui paie est donc la réponse dans le délai d’un mois, documentée et complète, avec l’effacement ou la motivation précise du refus.

En pratique, préparez votre demande comme un dossier : identifiez chaque traitement contesté, rappelez la durée applicable à votre situation parmi celles rappelées plus haut, et exigez pour chacun soit l’effacement, soit la justification écrite de la conservation. Après la réponse de l’organisme, vérifiez l’effacement effectif en exerçant votre droit d’accès sur le même périmètre : une confirmation verbale sans preuve ne suffit pas, et toute donnée réapparue dans un message commercial ultérieur rouvre le délai pour saisir la CNIL et le juge.

Vos données ne sont pas un stock que les organismes conserveraient à leur convenance : chaque donnée a une finalité, chaque finalité a une durée, et chaque durée dépassée ouvre un droit à l’effacement. Deux ans maximum pour un CV non retenu, trois ans après la fin de la relation client ou le dernier contact d’un prospect, un mois pour les images de vidéosurveillance, cinq ans pour le registre du personnel, dix ans pour la comptabilité : ces chiffres sont vos repères pour exiger la suppression. Quand l’organisme refuse ou se tait, la demande écrite fait courir le délai d’un mois, la plainte CNIL expose à la mise en demeure puis à l’amende et à l’injonction sous astreinte, et le juge ordonne l’effacement et répare le préjudice. La fermeté récente du Conseil d’État et de la Cour de cassation montre que les négligences d’organisation et les justifications vagues ne protègent plus les organismes : à vous de faire valoir des droits que les textes et les juges appliquent désormais sans hésiter.